Trojan.Siggen9.8260

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\UltraViewService] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\UltraViewService] 'ImagePath' = '"%TEMP%\RarSFX0\App\UltraViewer\UltraViewer_Service.exe"'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\ultraviewerportable.exe
%TEMP%\rarsfx0\app\ultraviewer\sounds\notify.wav
%TEMP%\rarsfx0\app\ultraviewer\remotecontrol40.tlb
%TEMP%\rarsfx0\app\ultraviewer\remotecontrol40.dll
%TEMP%\rarsfx0\app\ultraviewer\remotecontrol.dll
%TEMP%\rarsfx0\app\ultraviewer\msvbvm60.dll
%TEMP%\rarsfx0\app\ultraviewer\language.ini
%TEMP%\rarsfx0\app\ultraviewer\language\portuguese.txt
%TEMP%\rarsfx0\app\ultraviewer\ultraviewer_desktop.exe.config
%TEMP%\rarsfx0\app\ultraviewer\ultraviewer_desktop.exe
%TEMP%\rarsfx0\app\ultraviewer\images\restore_icon.png
%TEMP%\rarsfx0\app\ultraviewer\images\reload-icon.png
%TEMP%\rarsfx0\app\ultraviewer\images\red-close-icon.png
%TEMP%\rarsfx0\app\ultraviewer\images\online.png
%TEMP%\rarsfx0\app\ultraviewer\images\offline.png
%TEMP%\rarsfx0\app\ultraviewer\images\minimize_icon.png
%TEMP%\rarsfx0\app\ultraviewer\images\loading.gif
%TEMP%\rarsfx0\app\ultraviewer\language\languagelist.ini
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\confused.png
%TEMP%\rarsfx0\app\ultraviewer\ultraviewer_service.exe
%WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\e0968a1e3a40d2582e7fd463baeb59cd
%WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\e0968a1e3a40d2582e7fd463baeb59cd
%TEMP%\rarsfx0\data\ultraviewerportable.ini
%TEMP%\nstbf3d.tmp\system.dll
%TEMP%\rarsfx0\app\ultraviewer\remotecontrol.tlb
%TEMP%\rarsfx0\remotecontrol.reg
%TEMP%\nstbf3d.tmp\execdos.dll
%TEMP%\nstbf3d.tmp\findprocdll.dll
%TEMP%\nstbf3d.tmp\registry.dll
%TEMP%\nsobf1d.tmp
%TEMP%\rarsfx0\data\ultraviewer.reg
%TEMP%\rarsfx0\app\ultraviewer\uv_x64.exe.config
%TEMP%\rarsfx0\app\ultraviewer\uv_x64.exe
%TEMP%\rarsfx0\app\ultraviewer\uvh64.dll
%TEMP%\rarsfx0\app\ultraviewer\uvh.dll
%TEMP%\rarsfx0\app\ultraviewer\uvc.dll
%TEMP%\rarsfx0\app\ultraviewer\update\uvupdater.exe.config
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\wink.png
%TEMP%\rarsfx0\app\ultraviewer\language\english.txt
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\unsure.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\tongue-out.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\thumb-up.png
%TEMP%\rarsfx0\app\ultraviewer\images\close-icon.png
%TEMP%\rarsfx0\app\ultraviewer\images\computer-online.png
%TEMP%\rarsfx0\app\ultraviewer\images\computer-online-checked.png
%TEMP%\rarsfx0\app\ultraviewer\images\computer-offline.png
%TEMP%\rarsfx0\app\ultraviewer\images\computer-offline-checked.png
%TEMP%\rarsfx0\app\ultraviewer\images\computer-icon.png
%TEMP%\rarsfx0\app\ultraviewer\images\comment_dots.png
%TEMP%\rarsfx0\app\ultraviewer\images\collapse.png
%TEMP%\rarsfx0\app\ultraviewer\images\checkbox-empty.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\angry.png
%TEMP%\rarsfx0\app\ultraviewer\images\checkbox-checked.png
%TEMP%\rarsfx0\app\ultraviewer\htmlagilitypack.tlb
%TEMP%\rarsfx0\app\ultraviewer\htmlagilitypack.dll
%TEMP%\rarsfx0\app\ultraviewer\emotion.fan
%TEMP%\rarsfx0\app\ultraviewer\copyrights.txt
%TEMP%\rarsfx0\app\ultraviewer\8bit.dat
%TEMP%\rarsfx0\ultraviewerportable.ini
%WINDIR%\temp\cab46f9.tmp
%TEMP%\rarsfx0\app\ultraviewer\ultraviewer_service.exe.config
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\big-smile.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\curly-lips.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\angel.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\surprised.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\sunglasses.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\squint.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\smile.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\shark.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\robot.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\poop.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\penguin.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\pacman.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\kiss.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\kiki.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\heart.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\grumpy.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\glasses.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\frown.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\devil.png
%TEMP%\rarsfx0\app\ultraviewer\images\emotions\crying.png
%WINDIR%\temp\tar46fa.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%TEMP%\rarsfx0\data\ultraviewerportable.ini

Удаляет следующие файлы

%WINDIR%\temp\cab46f9.tmp
%WINDIR%\temp\tar46fa.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/02FAF3E291435468607857694DF5E45B68851868.crt

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: 'RegEdit_RegEdit' WindowName: ''
ClassName: 'Static' WindowName: 'GDI+Safe Patch'
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\rarsfx0\ultraviewerportable.exe'
'%TEMP%\rarsfx0\app\ultraviewer\ultraviewer_desktop.exe'
'%TEMP%\rarsfx0\app\ultraviewer\ultraviewer_service.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe' "%TEMP%\RarSFX0\App\UltraViewer\RemoteControl.dll" /regfile:remotecontrol.reg' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe' "%TEMP%\RarSFX0\App\UltraViewer\RemoteControl.dll" /tlb:RemoteControl.tlb' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\regedit.exe' /s "%TEMP%\RarSFX0\Data\UltraViewer.reg"
'%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe' "%TEMP%\RarSFX0\App\UltraViewer\RemoteControl.dll" /regfile:remotecontrol.reg
'%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe' "%TEMP%\RarSFX0\App\UltraViewer\RemoteControl.dll" /tlb:RemoteControl.tlb